망분리·정보 반출 통제 검증
Network Separation & Exfiltration Control Validation
설계 자료와 고객 데이터 같은 중요 자료가 정해 둔 망 밖으로 나갈 길이 있는지 찾아, 먼저 막을 곳을 알려 드립니다.
망분리와 네트워크 경계, 망 연계와 VDI·원격근무 구간, DLP 같은 반출 통제까지 자료가 나갈 수 있는 길을 차례로 짚어 봅니다.
분리해 둔 망과 중요 자료는, 실제로도 밖으로 나갈 길이 막혀 있는가?
자료가 나갈 수 있는 길마다 막혔는지 뚫렸는지와 그 근거, 먼저 막을 곳을 정리합니다.
검토 완료
이런 상황에 적합합니다
- 망분리를 해 뒀지만 정말 막혀 있는지 모를 때
금융·공공·국방처럼 망분리를 운영한다면, 설계대로 나뉘어 있는지와 망 연계·원격 접속 구간이 꼭 필요한 만큼만 열려 있는지 확인합니다.
- 핵심 기술과 설계 자료를 지켜야 할 때
설계 도면, 소스 코드, 연구 자료처럼 회사의 경쟁력이 담긴 자료가 정해 둔 곳 밖으로 나갈 수 있는지부터 짚어 봅니다.
- 내부자 유출이 걱정될 때
퇴사 예정자나 협력사 인력처럼 권한을 가진 사람이 자료를 대량으로 모아 밖으로 옮길 수 있는지, 그 사이 알아챌 수 있는지 확인하려는 경우입니다.
- 원격근무와 클라우드로 일하는 방식이 바뀌었을 때
VDI와 원격근무, 클라우드 협업 도구를 들이면서 새로 생긴 통로가 기존 통제 안에 들어와 있는지 확인해 둡니다.
SAFE SQUARE의 방식
자료에서 출발합니다
지켜야 할 자료와 그 자료가 머물러야 할 곳을 먼저 정하고, 그 자료가 나갈 수 있는 길을 하나씩 따라갑니다.
설계도와 실제를 맞춰 봅니다
망 구성도와 정책에 적힌 경계를 실제 연결과 비교해, 설계에 없던 연결과 통로를 찾아냅니다.
통제가 실제로 잡는지 봅니다
시험용 자료로 반출을 시도해, DLP와 방화벽, 망 연계 시스템 같은 통제가 실제로 잡아내고 기록하는지 확인합니다.
이런 곳을 살펴봅니다
조직마다 망 구성과 자료가 오가는 길이 달라, 아래는 단계별로 자주 확인하는 곳의 예입니다.
- SPLIT망 분리와 경계
- 망분리·네트워크 분리가 설계대로 유지되는지
- 개발·운영·외부망 사이의 경계 통제
- 두 망에 함께 연결된 서버와 장비
- TRANSFER자료가 오가는 구간
- 망 연계·파일 전송 시스템의 승인 흐름
- VDI·원격근무 구간의 복사·출력·화면 전달
- 클라우드 협업 도구와 개인 저장소
- COLLECT모으기와 내보내기
- 중요 문서·데이터의 대량 수집 가능성
- 외부로 나갈 수 있는 경로와 통제가 미치는 범위
- 이동식 저장장치와 출력
- CONTROL통제와 기록
- DLP·방화벽 등 반출 통제의 실효성
- 반출 시도가 기록되고 알림으로 이어지는지
- 예외 승인과 그 기록
‘인터넷망의 PC에서 업무망 서버로 직접 접속할 수 없어야 한다’
‘망 연계로 나가는 파일에는 승인 기록이 남아야 한다’
‘한 사람이 하루에 내려받을 수 있는 설계 자료에는 한도가 있어야 한다’
진행 순서
지킬 자료와 경계 정하기
지켜야 할 자료와 그 자료가 머물 망, 허용된 반출 경로를 정리하고 지켜야 할 조건으로 적습니다.
범위와 안전 조건 합의
검증할 구간과 대상 시스템, 시험에 쓸 자료와 계정, 허용하는 행위와 중단 기준을 시작 전에 정합니다.
경로 검증
자료가 나갈 수 있는 길마다 시험용 자료가 실제로 나가는지, 통제가 잡아내고 기록하는지 확인합니다.
막을 곳 설명
경로마다 결과와 근거, 먼저 막을 곳과 개선 방향을 설명합니다.
시험에는 미리 정한 시험용 자료를 쓰고, 운영 중인 업무에 영향이 없도록 방법과 중단 기준을 시작 전에 정합니다.
고객에게 남는 결과
경로별 결과
자료가 나갈 수 있는 길마다 막혔는지 뚫렸는지, 그렇게 되는 조건과 함께 정리합니다.
설계와 다른 연결
망 구성도와 정책에 없던 연결과 통로를 따로 모아 보여 드립니다.
통제의 실효성
DLP와 방화벽, 망 연계 시스템이 시도를 잡아내고 기록했는지, 놓친 곳은 어디인지 정리합니다.
먼저 막을 곳과 다음 확인 범위
먼저 막을 곳과 개선 방향, 다음에 확인할 부분을 밝힙니다.
연구소의 설계 자료는 연구망 밖으로 나갈 수 없어야 한다
대상: 제조사 연구소의 연구망과 업무망, 망 연계 시스템, VDI
| 나가는 길 | 결과 | 근거 |
|---|---|---|
| 망 연계 시스템 | 막힘 | 설계 파일 형식은 승인을 거쳐야만 넘어가고, 시도는 모두 기록됩니다. |
| VDI 복사·내보내기 | 막힘 | VDI의 파일 복사와 내보내기 기능이 정책대로 꺼져 있습니다. |
| 두 망에 연결된 개발 서버 | 뚫림 | 연구망과 인터넷망에 함께 연결된 개발 서버를 거쳐, 시험용 설계 파일이 외부 저장소로 옮겨졌습니다. |
| 대량 내려받기 | 보완 필요 | 한 계정이 하루에 내려받을 수 있는 양에 한도가 없고, 대량 내려받기에 알림도 없습니다. |
| DLP 검사 범위 | 보완 필요 | 메일 첨부는 잡아내지만, 클라우드 협업 도구로 올리는 파일은 검사 범위 밖이었습니다. |
- 업무 영향
- 개발 서버 한 곳을 통해 연구소의 설계 자료가 밖으로 나갈 수 있고, 대량으로 모아도 알아채기 어렵습니다.
- 먼저 막을 곳
- 개발 서버를 연구망 안으로 옮기고, 인터넷 연결은 승인된 업데이트 경로로만 둡니다. 다음으로 계정별 내려받기 한도와 대량 내려받기 알림을 두고, DLP 검사 범위에 클라우드 협업 도구를 넣습니다.
결과는 검증한 시점의 상태입니다. 조치 후 다시 확인할지는 필요에 맞춰 정합니다.